De ip4 en ip6 SPF mechanismen vergelijken het verbindende adres met een gepubliceerd adres of CIDR netwerk. Ze zijn eenvoudig als u stabiele uitgaande servers beheert, maar een kleine prefixfout kan toestemming verlenen voor veel meer infrastructuur dan de bedoeling was.
Gebruik het adres dat de ontvanger daadwerkelijk ziet. Het privé-interfaceadres van een server, een websiteadres en het algemene netwerkbereik van een cloudaccount zijn geen vervanging voor de uitgaande SMTP bron.
Kies het smalst gerechtvaardigde bereik
ip4:192.0.2.70 identificeert één IPv4 adres omdat het weggelaten voorvoegsel standaard /32 is. ip6:2001:db8::70 op vergelijkbare wijze standaard ingesteld op /128. Een /24 IPv4 prefix vertegenwoordigt 256 adressen, terwijl een /64 IPv6 prefix een enorme adresruimte bestrijkt. De netwerkgrootte is geen reden om het te autoriseren; controle en operationele behoefte zijn.
RFC 7208 sectie 5.6 definieert de matching- en prefixregels. Gebruik volledige adressen en de juiste CIDR-notatie. Een verkorte waarde zoals 192.0.2. is geen geldige vervanging voor 192.0.2.0/24 .
Uitgewerkt voorbeeld: grenstoetsen vangen brede subsidies op
Denk eens aan het synthetische beleid v=spf1 ip4:192.0.2.64/28 ip6:2001:db8:1::/64 -all. Het IPv4 bereik loopt van 192.0.2.64 tot en met 192.0.2.79 . Een verbindingsadres van 192.0.2.70 komt overeen; 192.0.2.80 doet dit niet en bereikt -all als niets anders overeenkomt.
Het IPv6 adres 2001:db8:1::25 komt overeen met /64. Het adres 2001:db8:2::25 niet. Deze gereserveerde documentatieadressen zijn bedoeld om over het beleid te redeneren, en niet voor live afzenders.
Voor een echt voorgesteld bereik maakt u dezelfde grenstests en vermeldt u wie elk opgenomen segment beheert. Als de enige goedgekeurde afzender één host is, vergelijk dan de machtigingenset met een mechanisme met één adres voordat u het bredere voorvoegsel goedkeurt.
Controleer zowel netwerkfamilies als uitgaande paden
Voor een native IPv6 bron is IPv6 toestemming vereist. RFC 7208 RFC 7208 §5 vereist afzonderlijk dat IPv4-toegewezen IPv6 -adressen worden gecontroleerd als IPv4 ; dit betekent niet dat een IP4-bereik native IPv6 dekt. Een systeem dat IPv6 begint te gebruiken, kan plotseling het beleidseinde bereiken, ook al blijven de IPv4 berichten passeren. Verkrijg bewijs van ontvangen berichten of uitgaande infrastructuurrecords voor beide feitelijk gebruikte families.
Houd ook rekening met NAT, failover-gateways, regionale relais en geplande taken. Een test van een enkel actief knooppunt kan een standby-route missen. Los onzekerheid niet op door een hele hostingprovider te autoriseren. Breng in plaats daarvan de ondersteunde uitgangsset en het eigendom tot stand.
Begrijp de onderhoudsafweging
Onder RFC 7208 §4.6.4, ip4 en ip6 verbruiken niet het tien DNS-query-veroorzakende termijnbudget tijdens de evaluatie van het mechanisme. De ontvanger moet de SPF record, en de omvang en correctheid van het beleid zijn nog steeds van belang. Een record met honderden gekopieerde bereiken is niet automatisch onderhoudbaar, alleen maar omdat die termen niet meetellen voor die limiet.
Wanneer een provider een include aanbeveelt, zorgt het vervangen ervan door een momentopname van IP-adressen ervoor dat u verantwoordelijk bent voor toekomstige wijzigingen. Registreer hoe wijzigingen worden gedetecteerd, wie deze goedkeurt en hoe verouderde adressen worden verwijderd. Verouderde machtigingen kunnen zowel legitieme e-mail verstoren als toegang behouden tot infrastructuur die u niet langer gebruikt.
Publiceer met een toestemmingsverschil
Bewaar het oude record en leg de exacte bereiken uit die worden toegevoegd en verwijderd. Valideer het volledige voorgestelde SPF record, test bekende afzenderadressen en niet-geautoriseerde adressen in de buurt, en verifieer het gepubliceerde TXT antwoord. Verzend vervolgens representatieve berichten via normale paden en failover-paden.
Als een adres onverwacht buiten het goedgekeurde bereik ligt, onderzoek dan de route voordat u deze verbreedt. Een onverwacht uitgaand verkeer kan een configuratiefout of een niet-goedgekeurde afzender aan het licht brengen in plaats van een ontbrekende machtiging.
De praktische afhaalmaaltijd
Een adresmechanisme is alleen expliciet als het eigendom en de grenzen ervan expliciet zijn. Gebruik waargenomen uitgaand verkeer, test bereikgrenzen en behandel toekomstige adreswijzigingen als onderdeel van de autorisatielevenscyclus.
Leg de beslissing en de grenzen ervan vast
Voor de /28 armatuur noteert u 192.0.2.63 als buiten, .64 en .79 als binnen en .80 als buiten. SPF prefixmatching omvat alle adressen in het blok, niet alleen de conventionele subset van hostadressen. Als alleen .70 gerechtvaardigd is, vergelijk dan /32 met /28: de laatste kent 16 adressen toe, niet één. Dit zijn berekende lidmaatschapsvoorbeelden, geen uitgevoerde SPF tests.